＊本コラムは令和４年４月１日施行の改正個人情報保護法を前提にしています（２０２２年５月１６日追記）。

はじめに

個人データは、原則的に、本人の同意なく第三者へ提供することはできません（個人情報保護法（以下「法」第27条第1項）。ただし、委託に伴って個人データを提供すること等は、「第三者提供」にあたらず、本人の同意がなくても可能です（法第27条第5項第1号）。

近年、業務委託の名目で多様なデータが企業間を流通しています。では、委託先の保有する個人データを利用する目的の業務委託は、法第27条第5項第1号の「委託」（以下同号の委託を「委託」といいます。）に含まれるのでしょうか？

具体的には、A社（委託元）が、B社（委託先）が保有する個人データ（他社から委託に伴い提供を受けたデータ、自社データの両方がありえます）を利用する方法として、A社がB社に対して個人データを提供し、B社の保有する個人データと突合させて、より詳細・精緻なデータとして戻させることは「委託」として可能でしょうか？

委託に伴う個人データの提供

まず、法27条第5項柱書と同第1号は、次のとおり定めています（下線は筆者）。

次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。

一　個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合

また、委託先が第三者に該当しない理由については、個人情報の保護に関する法律についてのガイドライン（通則編）では、次のように説明されています。

当該提供先は、委託された業務の範囲内でのみ、本人との関係において提供主体である個人情報取扱事業者と一体のものとして取り扱われることに合理性があるため、委託された業務以外に当該個人データを取り扱うことはできない。

このように、委託先は、委託元と一体のもので「第三者」に該当しないために、委託先への個人データの提供は「第三者提供」にはあたらないとされています。また、委託先が委託元へ、個人データを返却する場合も同様に「第三者提供」にあたりません。

そして、委託業務の内容については、個人データの入力（本人からの取得を含む。）、編集、分析、出力等の処理等が想定されていますが、特に法律上の限定はされていません。

個人データの突合の禁止

もっとも、委託先は、委託に伴って委託元から提供された個人データを、独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできません。

この点、個人情報の保護に関する法律についてのガイドラインに関するＱ＆Ａには次のように記載されています。

Ｑ７－４２

委託に伴って提供された個人データを、委託先が独自に取得した個人データ又は個人関連情報と本人ごとに突合し、新たな項目を付加して又は内容を修正して委託元に戻すことはできますか。

Ａ７－４２

個人データの取扱いの委託（法第 27 条第５項第１号）において、委託先は、委託に伴って委託元から提供された個人データを、独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできず、委託先で新たな項目を付加して又は内容を修正して委託元に戻すこともできません。
したがって、個人データの取扱いの委託に関し、委託先において以下のような取扱いをすることはできません。
事例１）顧客情報を外部事業者に委託に伴って提供し、当該外部事業者において提供を受けた顧客情報に含まれる住所について、当該外部事業者が独自に取得した住所を含む個人データと突合して誤りのある住所を修正し、当該顧客情報を委託元に戻すこと
事例２）顧客情報をデータ・マネジメント・プラットフォーム等の外部事業者に委託に伴って提供し、当該外部事業者において、提供を受けた顧客情報に、当該外部事業者が独自に取得したウェブサイトの閲覧履歴等の個人関連情報を付加し、当該顧客情報を委託元に戻すこと
これらの取扱いをする場合には、委託先において本人の同意を取得する等、付加・修正する情報を委託元に適法に提供するための対応を行う必要があります。なお、事例１）については、当該外部事業者が住所を含む個人データについて、法第 27 条第２項に従って個人情報保護委員会への届出等を行っており、オプトアウトによる第三者提供が可能である場合には、あらかじめ本人の同意を取得することなく、当該顧客情報を委託元に戻すことができます。

おわりに

このように、委託先の保有する個人データを利用する目的の業務委託は、法27条第5項第1号の「委託」（以下同号の委託を「委託」といいます。）に含まれないと解されます。よって、他社の保有する個人データを利用するのであれば、個人データの第三者提供又は匿名加工情報としての提供の可能性を検討することが考えられます。
弊所では個人情報保護法に関するご相談やご依頼をお受けしておりますので、ご気軽にお問合せください。
お問い合わせフォームはこちら